Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand und Status dieses Dokuments

Fassung vom 1. Oktober 2026. Neue Fassungen werden nach dem Abschnitt „Haftung und Schlussbestimmungen" wirksam.

Für Rückfragen zum Inhalt oder für den Abschluss eines individuellen Auftragsverarbeitungsvertrages wenden Sie sich bitte an hello@erseni.com.

Abschluss dieses Vertrages

Dieser AVV kommt zustande, indem eine vertretungsberechtigte Person des Verantwortlichen ihn im Benutzerkonto unter Angabe des Unternehmens- oder Organisationsnamens abschließt. Der AVV steht in jedem Tarif zur Verfügung, auch im kostenlosen.

AVV im Benutzerkonto abschließen

Für eine Nutzung ohne Benutzerkonto kommt kein AVV zustande, da wir solche Vorgänge keinem Verantwortlichen zuordnen können. Für die geschäftliche Nutzung ist deshalb ein Benutzerkonto erforderlich.

Wir speichern beim Abschluss die Vertragspartei, den angegebenen Namen, die abgeschlossene Fassung, die Sprachfassung und den Zeitpunkt des Abschlusses und senden den vollständigen Text der abgeschlossenen Fassung an die hinterlegte E-Mail-Adresse. Die beim Abschluss geltende Liste der Unterauftragsverarbeiter und der selbst betriebenen Systeme ist als Anlage Teil des abgeschlossenen Textes und wird mit ihm gespeichert und übersandt. Der Abschluss auf elektronischem Weg wahrt die elektronische Form nach Art. 28 Abs. 9 DSGVO; einer Unterschrift bedarf es nicht.

Parteien und Gegenstand der Verarbeitung

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung des Dienstes ergeben. Er gilt für alle Verarbeitungen personenbezogener Daten, die wir im Auftrag und nach Weisung des Verantwortlichen durchführen.

Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist die natürliche oder juristische Person, die den Dienst nutzt und über Zwecke und Mittel dieser Verarbeitung entscheidet. Bei geschäftlicher Nutzung ist dies das nutzende Unternehmen beziehungsweise die nutzende Organisation, die beim Abschluss angegeben wird.

Auftragsverarbeiter

Erseni Ltd, Private Company Limited by Shares
Archiepiskopou Makariou III, 59, MOUYIAS TOWER, 3rd floor, Flat/Office 301
6017 Larnaca, Cyprus
Registernummer: HE 487031
E-Mail: hello@erseni.com

Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist der Betrieb eines Dienstes zur Ende-zu-Ende-verschlüsselten Übermittlung von Inhalten (Zero-Knowledge-Verfahren). Wir stellen die technische Infrastruktur bereit, über die verschlüsselte Inhalte gespeichert, abgerufen und nach Abruf oder Ablauf gelöscht werden. Eine inhaltliche Auswertung findet nicht statt und ist uns technisch nicht möglich.

Ergänzend gilt unsere Datenschutzerklärung für die Verarbeitungen, für die wir selbst Verantwortlicher sind. Im Falle von Widersprüchen zwischen diesem AVV und der Datenschutzerklärung geht dieser AVV vor.

Art, Umfang und Zweck der Verarbeitung

Art der Verarbeitung

Erheben, Speichern, Übermitteln, Bereitstellen und Löschen von verschlüsselten Inhalten und den zugehörigen technischen Metadaten. Die Verarbeitung erfolgt automatisiert. Ein Zugriff auf Klartextinhalte durch uns oder durch Dritte findet nicht statt.

Zweck der Verarbeitung

Zweck ist ausschließlich die vertragsgemäße Bereitstellung des Dienstes: die sichere einmalige Übermittlung von Inhalten zwischen einem Absender und einem Empfänger, die Verwaltung von Gültigkeitsdauern sowie der Schutz des Dienstes vor Missbrauch und Überlastung.

Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Nutzungsverhältnisses. Verschlüsselte Inhalte werden darüber hinaus nur bis zum ersten Abruf beziehungsweise bis zum Ablauf der gewählten Gültigkeitsdauer verarbeitet. Einzelheiten regelt der Abschnitt zum Löschkonzept.

Kategorien personenbezogener Daten

Im Auftrag des Verantwortlichen verarbeiten wir die folgenden Datenkategorien:

Verschlüsselte Inhalte (Ciphertext) einschließlich optionaler verschlüsselter Dateianhänge. Diese können personenbezogene Daten beliebiger Art enthalten; deren Auswahl obliegt allein dem Verantwortlichen. Für uns sind sie ohne den clientseitigen Schlüssel nicht lesbar.
Technische Metadaten zum Vorgang: ein zufällig erzeugtes Zugriffstoken, der Zeitpunkt der Erstellung, der Ablaufzeitpunkt, gegebenenfalls der Zeitpunkt des Abrufs sowie die Angabe, ob der Inhalt noch abgerufen werden kann.
Bei Nutzung mit Benutzerkonto: die Zuordnung eines Vorgangs zum Konto sowie Ereignisse des Aktivitätsprotokolls (Ereignisart, Zeitpunkt, Kennung des Kontos und Kennung des Vorgangs, ohne Inhalte und ohne Zugriffstoken).
Notizen, die der Verantwortliche freiwillig zu einem Vorgang einträgt. Sie werden nicht clientseitig verschlüsselt und sind für uns lesbar.
Bei Nutzung einer Organisation: der Name der Organisation, die Mitgliedschaften und Rollen der Mitglieder, die E-Mail-Adressen eingeladener Mitglieder, für die mit der Einladung ein Benutzerkonto angelegt wird, gegebenenfalls der Zeitpunkt, ab dem die Organisation ruht, sowie das Kontingent an Plätzen.
Anforderungsvorlagen des Verantwortlichen, also Vorlagennamen und die Bezeichnungen der angeforderten Felder, ohne die angeforderten Inhalte.
API-Schlüssel des Verantwortlichen als Metadaten: Name, Präfix, ein Hashwert des Schlüssels, die Zeitpunkte der Erstellung, der letzten Nutzung und des Widerrufs sowie Nutzungszähler. Der Schlüssel selbst wird nicht gespeichert.

Der Verantwortliche entscheidet eigenverantwortlich, welche Inhalte er über den Dienst übermittelt. Da die Inhalte für uns ausschließlich als Chiffrat vorliegen, können wir weder deren Kategorie noch deren Personenbezug feststellen.

Verarbeitungen in eigener Verantwortung

Nicht Gegenstand dieses AVV sind die folgenden Verarbeitungen, für die wir selbst Verantwortlicher sind. Für sie gilt unsere Datenschutzerklärung.

Die Kontodaten der Kontoinhaberinnen und Kontoinhaber (E-Mail-Adresse, Anmeldedaten, Kontostatus und Tarif) zur Durchführung des Nutzungsvertrages.
Rechnungs- und Zahlungsdaten bei kostenpflichtigen Tarifen. Die Zahlungsabwicklung übernimmt Stripe als eigener Verantwortlicher.
Technische Verbindungsdaten zur Sicherheit des Dienstes und zur Abwehr von Missbrauch. Für die Zugriffsbegrenzung wird die IP-Adresse nicht im Klartext gespeichert, sondern ausschließlich zu einem mit einem geheimen Schlüssel abgeleiteten Hashwert (HMAC-SHA-256) verarbeitet, der nur für die Dauer des jeweiligen Zeitfensters im Cache gehalten wird.
Server-Zugriffsprotokolle mit der vor der Speicherung gekürzten IP-Adresse (bei IPv4 ohne das letzte Oktett, bei IPv6 ohne den hinteren Teil), dem Zeitpunkt, dem aufgerufenen Pfad, dem Statuscode, der übertragenen Datenmenge, dem Referrer und dem User-Agent. Sie werden nach 90 Tagen gelöscht.
Das Zugriffstoken eines Vorgangs wird vor der Speicherung aus dem aufgerufenen Pfad dieser Protokolle entfernt; der Schlüssel im URL-Fragment erreicht den Server nicht. Die Protokolle ermöglichen keinen Zugriff auf Inhalte.
Anwendungsprotokolle des Dienstes mit technischen Meldungen und Fehlern, die keine Inhalte und keine Zugriffstoken enthalten. Sie werden nach 7 Tagen gelöscht.

Kategorien betroffener Personen

Nutzerinnen und Nutzer des Verantwortlichen, die Inhalte über den Dienst erstellen oder anfordern (zum Beispiel Beschäftigte, Administratorinnen und Administratoren).
Empfängerinnen und Empfänger, an die ein Zugriffslink übermittelt wird, sowie alle Personen, deren Daten der Verantwortliche in einen verschlüsselten Inhalt aufnimmt.

Besondere Kategorien personenbezogener Daten

Der Dienst ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ausgerichtet. Da die Inhalte clientseitig verschlüsselt werden, können solche Daten technisch dennoch übermittelt werden. Die Zulässigkeit einer solchen Verarbeitung und die Erfüllung der zusätzlichen Anforderungen des Art. 9 DSGVO liegen allein in der Verantwortung des Verantwortlichen.

Weisungsgebundenheit

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, wir sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilen wir dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Nutzung der Funktionen, die der Dienst im Benutzerkonto bereitstellt, gilt als Weisung. Ergänzende oder abweichende Einzelweisungen sind in Textform an die im Abschnitt „Stand und Status dieses Dokuments" genannte Kontaktadresse zu richten.

Wir informieren den Verantwortlichen unverzüglich, wenn wir der Auffassung sind, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Wir sind berechtigt, die Ausführung einer solchen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

Aufgrund der Zero-Knowledge-Architektur können wir Weisungen, die einen Zugriff auf Klartextinhalte voraussetzen, technisch nicht ausführen. Dies gilt insbesondere für Weisungen zur Herausgabe, Berichtigung oder inhaltlichen Prüfung verschlüsselter Inhalte.

Eine Verarbeitung personenbezogener Daten in einem Drittland oder durch eine internationale Organisation erfolgt nur, soweit sie in der Liste der Unterauftragsverarbeiter ausgewiesen ist und die Voraussetzungen des Kapitels V der DSGVO erfüllt sind. Die Server stehen in einem Rechenzentrum in Deutschland und damit in der Europäischen Union. Die Verarbeitung der verschlüsselten Inhalte selbst findet ausschließlich in der Europäischen Union statt.

Ist der Verantwortliche außerhalb des Europäischen Wirtschaftsraums niedergelassen, gelten für die Übermittlung personenbezogener Daten von uns an ihn ergänzend die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 in Modul 4 (Übermittlung von Auftragsverarbeitern an Verantwortliche). Wir sind Datenexporteur, der Verantwortliche ist Datenimporteur. Die Angaben dieses AVV zu Parteien, Gegenstand, Datenkategorien und betroffenen Personen gelten als Anhang I, die technisch-organisatorischen Maßnahmen als Anhang II der Standardvertragsklauseln. Bei Widersprüchen gehen die Standardvertragsklauseln vor.

Vertraulichkeit der Beschäftigten

Wir stellen sicher, dass sich alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Der Kreis der Personen mit administrativem Zugang zu den Produktivsystemen ist auf das für den Betrieb zwingend erforderliche Minimum beschränkt.

Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der jeweiligen Tätigkeit sowie nach Beendigung dieses Vertrages fort.

Berufsgeheimnisträger

Unterliegt der Verantwortliche einer gesetzlichen Verschwiegenheitspflicht, etwa als Rechtsanwältin oder Rechtsanwalt, Steuerberaterin oder Steuerberater, gelten ergänzend die folgenden Regelungen (§ 203 Abs. 3 und 4 StGB, § 43e BRAO, § 62a StBerG sowie vergleichbare Vorschriften anderer Mitgliedstaaten).

Wir verpflichten uns und alle Personen, die an der Erbringung des Dienstes mitwirken, zur Verschwiegenheit über fremde Geheimnisse, die uns dabei bekannt werden, und belehren diese Personen über die strafrechtlichen Folgen einer Pflichtverletzung. Von fremden Geheimnissen nehmen wir nur insoweit Kenntnis, als dies zur Erbringung des Dienstes erforderlich ist.

Wir sind darüber belehrt, dass die unbefugte Offenbarung fremder Geheimnisse, die uns als mitwirkender Person bekannt werden, nach § 203 Abs. 4 StGB strafbar ist, und verpflichten uns hiermit in Textform zur Verschwiegenheit.

Weiterer Personen oder Dienstleister bedienen wir uns für die Erbringung des Dienstes nur, soweit wir sie ihrerseits in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt haben oder sie einer entsprechenden gesetzlichen Pflicht unterliegen. Für den Hosting-Dienstleister weisen wir dies auf Anfrage nach.

Der Verantwortliche kann die Einhaltung dieser Pflichten im Rahmen seiner Kontrollrechte nach diesem AVV überprüfen.

Inhalte, die über den verschlüsselten Kanal übermittelt werden, sind für uns und unsere Dienstleister nicht lesbar. Geheimnisse sollten deshalb ausschließlich dort erfasst werden und nicht in Notizen, Vorlagennamen oder Organisationsnamen, die uns lesbar vorliegen.

Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Wir treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zentrale Schutzmaßnahme ist dabei die Architektur selbst: Inhalte verlassen das Endgerät nur verschlüsselt.

Verschlüsselung und Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO)

Inhalte werden ausschließlich im Browser des Nutzers mit AES-GCM und einer Schlüssellänge von 256 Bit verschlüsselt, bevor sie an den Server übertragen werden. Für jeden Vorgang wird eine eigene, zufällig erzeugte 12-Byte-Nonce verwendet. Es kommt ausschließlich die native Web-Crypto-Schnittstelle des Browsers zum Einsatz. Die von uns bereitgestellte Kommandozeilenanwendung verschlüsselt keine Inhalte; sie erzeugt das Schlüsselpaar einer Anforderung auf dem Endgerät und entschlüsselt dort die Antwort mit dem Kryptografiemodul der Node.js-Laufzeitumgebung.
Der Schlüssel wird clientseitig erzeugt und im Fragment-Teil der URL hinter dem Rautezeichen übertragen. Dieser Teil einer URL wird von Browsern grundsätzlich nicht an den Server gesendet und ist uns daher nicht bekannt. Wird zusätzlich ein Passwort gesetzt, wird aus diesem mittels PBKDF2-SHA256 mit 1.200.000 Iterationen ein Schlüsselmaterial abgeleitet und über HKDF-SHA256 mit dem Fragment-Schlüssel zu einem AES-GCM-256-Schlüssel verknüpft.
Beim Anfordern von Inhalten wird ein X25519-Schlüsselpaar auf dem Endgerät der anfordernden Person erzeugt. Der Antwortende verschlüsselt mit einem für jede Antwort neu erzeugten, ephemeren X25519-Schlüsselpaar und einem über HKDF-SHA256 abgeleiteten AES-GCM-256-Schlüssel. Der private Schlüssel verlässt das Endgerät der anfordernden Person nicht.
In unserer Datenbank liegen Inhalte ausschließlich als Chiffrat vor. Ein Klartext existiert serverseitig zu keinem Zeitpunkt, auch nicht temporär im Rahmen der Auslieferung.

Zutrittskontrolle

Der physische Betrieb der Server erfolgt in einem Rechenzentrum der Hetzner Online GmbH in Falkenstein, Deutschland. Zutrittsschutz, Videoüberwachung, Brandschutz und unterbrechungsfreie Stromversorgung werden dort durch den Rechenzentrumsbetreiber gewährleistet; die entsprechenden Nachweise sind über den Betreiber verfügbar. Eigene Räumlichkeiten mit Zugriff auf personenbezogene Daten des Verantwortlichen unterhalten wir nicht.

Zugangskontrolle

Administrativer Zugang zu den Servern erfolgt ausschließlich über SSH mit Public-Key-Authentifizierung; die Anmeldung mit Passwort ist deaktiviert.
Administrative Zugänge sind personenbezogen vergeben und auf den für den Betrieb erforderlichen Personenkreis beschränkt.
Passwörter von Benutzerkonten werden ausschließlich als Hashwert mit einem für Passwörter geeigneten, rechenintensiven Verfahren gespeichert. Zugangsdaten und Schlüsselmaterial für Dienste werden verschlüsselt abgelegt und nicht im Quellcode hinterlegt.
Die Systeme sind durch eine Firewall abgesichert; nach außen sind nur die für den Betrieb erforderlichen Dienste erreichbar. Datenbank- und Cache-Dienste sind von außen nicht zugänglich.

Zugriffskontrolle

Innerhalb der Anwendung besteht ein rollenbasiertes Berechtigungskonzept. Der Zugriff auf einen Vorgang setzt die Kenntnis des zufällig erzeugten Zugriffstokens voraus.
Es werden nur die für den Zweck erforderlichen Daten erhoben. Aktivitätsprotokolle enthalten weder Inhalte noch Zugriffstoken noch Schlüsselmaterial.
Ein Zugriff auf Klartextinhalte ist auch mit vollständigen administrativen Rechten technisch ausgeschlossen, da der Schlüssel serverseitig nicht vorliegt.

Weitergabekontrolle

Sämtliche Übertragungen zwischen Endgerät und Server erfolgen ausschließlich über TLS-verschlüsselte Verbindungen. Unverschlüsselte Aufrufe werden auf HTTPS umgeleitet.
Der zur Entschlüsselung erforderliche Schlüssel wird nie über die Leitung an den Server übertragen, sondern verbleibt im URL-Fragment auf dem Endgerät.
Die Anwendung setzt sicherheitsrelevante HTTP-Header ein, unter anderem eine Content-Security-Policy sowie HTTP Strict Transport Security, um die Ausführung fremden Codes und ein Herabstufen der Transportverschlüsselung zu erschweren.

Eingabekontrolle

Für Vorgänge, die einem Benutzerkonto zugeordnet sind, wird ein Aktivitätsprotokoll geführt, das die Art des Ereignisses, dessen Zeitpunkt, die Kennung des Kontos und die Kennung des Vorgangs festhält. Es enthält weder Inhalte noch Zugriffstoken. Für anonym erstellte Vorgänge findet aus Gründen der Datenminimierung keine Protokollierung auf Vorgangsebene statt.

Verfügbarkeitskontrolle und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Der Anwendungsserver mit der Datenbank wird täglich automatisch gesichert. Vorgehalten werden die Sicherungen der letzten 7 Tage, ältere Sicherungen werden automatisch überschrieben. Die Sicherungen liegen bei unserem Hosting-Dienstleister in der Europäischen Union. Die selbst betriebenen Systeme für den Mailversand und die Reichweitenmessung werden nicht gesichert. Inhalte liegen darin ausschließlich als Chiffrat vor und sind daher auch in den Sicherungen nicht lesbar.
Betriebssystem und eingesetzte Komponenten werden regelmäßig aktualisiert; sicherheitsrelevante Aktualisierungen werden zeitnah eingespielt.
Der Betrieb wird überwacht; Störungen und Fehlerzustände werden automatisiert gemeldet. Eine öffentliche Statusseite weist den ausgelieferten Programmstand und die eingesetzten Kryptografieverfahren aus; den Betriebszustand zeigt sie nicht.
Zum Schutz vor automatisierten Angriffen und Überlastung sind Zugriffsbegrenzungen implementiert. Die dafür verwendeten Zählschlüssel werden aus der IP-Adresse mit einem geheimen Schlüssel abgeleitet und nur für die Dauer des jeweiligen Zeitfensters im Arbeitsspeicher gehalten.

Trennungskontrolle

Daten unterschiedlicher Projekte werden logisch getrennt in eigenen Datenbanken verarbeitet. Produktiv-, Staging- und Entwicklungsumgebungen sind voneinander getrennt; in Entwicklungsumgebungen werden keine produktiven personenbezogenen Daten verwendet.

Sichere Entwicklung

Änderungen am Quellcode durchlaufen ein Review und werden über eine automatisierte Pipeline ausgeliefert.
Es kommen statische Codeanalyse und automatisierte Tests zum Einsatz, die vor der Auslieferung fehlerfrei durchlaufen werden müssen.
Eingesetzte Fremdbibliotheken sind in ihren Versionen festgeschrieben und werden ausschließlich über die Auslieferungspipeline geändert. Die Auslieferungspipeline prüft diese Bibliotheken automatisiert auf bekannte Schwachstellen; ein Fund wird gemeldet und von uns bewertet, hält die Auslieferung aber nicht an.
Der für die Verschlüsselung maßgebliche Teil des Dienstes ist quelloffen und kann unabhängig überprüft werden. Zusätzlich stellen wir unter „/.well-known/security.txt" einen Meldeweg für Sicherheitshinweise bereit.

Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d DSGVO)

Die Wirksamkeit der Maßnahmen wird anlassbezogen sowie bei wesentlichen Änderungen an Architektur, Systemen oder Unterauftragsverarbeitern überprüft und dieses Dokument entsprechend fortgeschrieben.

Grenzen der Maßnahmen

Wir halten es für Teil eines belastbaren Sicherheitsversprechens, auch offenzulegen, was wir nicht leisten:

Wir verfügen derzeit über keine Zertifizierung nach ISO/IEC 27001, keine Zertifizierung nach Art. 42 DSGVO und sind keinen genehmigten Verhaltensregeln nach Art. 40 DSGVO unterworfen.
Es wurde bislang kein externes Sicherheitsaudit und kein Penetrationstest durchgeführt.
Datenbanken und Sicherungen sind auf den Servern nicht zusätzlich verschlüsselt, soweit im Einzelfall nichts anderes vereinbart ist.
Es wurde bislang kein unabhängiges Kryptografie-Audit durchgeführt.
Die Verschlüsselung findet im Browser statt und beruht auf dem von uns ausgelieferten Programmcode. Wer unserer Auslieferung nicht vertraut, muss den quelloffenen Code selbst prüfen; eine Kompromittierung der Auslieferung könnte die Ende-zu-Ende-Verschlüsselung aushebeln.
Auch wenn Inhalte für uns nicht lesbar sind, fallen Metadaten an, insbesondere Zeitpunkte, Ablauffristen und die Tatsache, dass ein Vorgang existiert. Diese Metadaten sind uns bekannt.

Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der gesondert geführten Liste ausgewiesen und gelten als genehmigt. Die dort daneben aufgeführten, von uns selbst betriebenen Systeme sind keine Unterauftragsverarbeiter; die Regelungen dieses Abschnitts gelten für sie nicht.

Neben dem Hosting-Dienstleister setzen wir von uns selbst betriebene Systeme ein: einen eigenen Mailserver für den Versand von Benachrichtigungen, eine selbst gehostete Matomo-Instanz für die Reichweitenmessung und eine selbst betriebene GitLab-Instanz für technische Fehlerberichte. Sie laufen auf Servern desselben Hosting-Dienstleisters in Deutschland und sind in der Liste gesondert als selbst betriebene Systeme ausgewiesen. Matomo arbeitet ohne Cookies, kürzt die IP-Adresse vor der Speicherung um zwei Bytes und löscht die Rohdaten der Besuche nach 180 Tagen. Fehlerberichte enthalten technische Angaben zum Fehler und können personenbezogene Daten aus dem betroffenen Aufruf enthalten; Passwörter und Zugangsschlüssel entfernen wir vor der Übermittlung. Fehlerberichte bewahren wir auf, solange sie für die Fehlerbehebung und deren Nachvollziehbarkeit erforderlich sind.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die uns nach diesem Vertrag obliegen, und bleiben gegenüber dem Verantwortlichen für die Einhaltung der datenschutzrechtlichen Pflichten durch den Unterauftragsverarbeiter verantwortlich.

Über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters informieren wir den Verantwortlichen mindestens 30 Tage vorab per E-Mail an die hinterlegte Adresse sowie auf der Seite mit der Liste der Unterauftragsverarbeiter. Der Verantwortliche kann einer Änderung innerhalb dieser Frist aus datenschutzrechtlichen Gründen in Textform widersprechen. Widerspricht er nicht fristgerecht, gilt die Änderung als genehmigt. Widerspricht er, setzen wir den neuen Unterauftragsverarbeiter für ihn nicht ein, soweit uns das zumutbar ist; andernfalls kann er diesen AVV und den zugrunde liegenden Vertrag mit Wirkung zum Zeitpunkt der Änderung ohne weitere Kosten kündigen. Im Voraus gezahlte Entgelte für die Zeit nach dem Ende erstatten wir anteilig.

Weder die eingesetzten Unterauftragsverarbeiter noch die von uns selbst betriebenen Systeme erhalten Zugriff auf Klartextinhalte. Der Hosting-Dienstleister stellt die Infrastruktur bereit, auf der das Chiffrat und die für uns lesbaren Metadaten (etwa Notizen, Organisations- und Kontodaten) liegen; Klartextinhalte erhält er nicht. Die übrigen Dienstleister verarbeiten keine übermittelten Inhalte, sondern ausschließlich die zu ihrem jeweiligen Zweck erforderlichen Daten.

Werkzeuge externer Anbieter, mit denen wir Fehlerberichte oder Daten aus dem Dienst verarbeiten lassen, insbesondere KI-gestützte Analysewerkzeuge, setzen wir nur ein, wenn der Anbieter in der Liste der Unterauftragsverarbeiter ausgewiesen ist, und nur für den dort genannten Zweck.

Die jeweils aktuelle Liste der Unterauftragsverarbeiter mit Zweck, Region und Datenschutzhinweisen finden Sie hier: Liste der Unterauftragsverarbeiter

Unterstützung bei Betroffenenrechten

Wir unterstützen den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).

Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen unverzüglich an den Verantwortlichen weiter, soweit sich der Antrag auf Verarbeitungen im Auftrag bezieht. Eine eigenständige Beantwortung nehmen wir in diesem Fall nicht vor.

Anträge auf Auskunft über, Berichtigung oder Herausgabe von verschlüsselten Inhalten können wir nicht erfüllen, da uns die Inhalte ausschließlich als Chiffrat vorliegen; für die uns lesbaren Daten unterstützen wir den Verantwortlichen nach dem vorstehenden Absatz. Eine Löschung ist dagegen jederzeit möglich und wirkt sich auch auf das Chiffrat aus, das damit endgültig unbrauchbar wird.

Wir unterstützen den Verantwortlichen ferner bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, und stellen hierfür die uns vorliegenden Informationen zur Verfügung.

Die Unterstützungsleistungen erbringen wir im üblichen Umfang unentgeltlich. Für einen darüber hinausgehenden Aufwand, der nicht auf einem uns zurechenbaren Umstand beruht, können wir eine angemessene Vergütung verlangen; hierauf weisen wir vorab hin.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Wir informieren den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Rahmen der Auftragsverarbeitung eingetreten ist (Art. 33 Abs. 2 DSGVO). Die Information erfolgt in Textform an die E-Mail-Adresse, die bei Abschluss dieses AVV hinterlegt war oder die der Verantwortliche uns seitdem mitgeteilt hat.

Die Meldung enthält, soweit uns bekannt, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sofern nicht alle Angaben sofort verfügbar sind, liefern wir sie unverzüglich nach.

Wir ergreifen unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmen weitergehende Maßnahmen mit dem Verantwortlichen ab.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Wir nehmen solche Meldungen nicht eigenständig für den Verantwortlichen vor, unterstützen ihn hierbei jedoch.

Sicherheitsvorfälle und Schwachstellen können jederzeit an hello@erseni.com sowie über den unter „/.well-known/security.txt" veröffentlichten Meldeweg gemeldet werden.

Löschung und Rückgabe nach Vertragsende (Löschkonzept)

Der Dienst ist so gebaut, dass Löschung der Regelfall und Aufbewahrung die Ausnahme ist. Nachfolgend beschreiben wir, welche Daten wann und auf welche Weise gelöscht werden.

Löschung beim ersten Abruf

Beim Abruf eines Inhalts wird der Datensatz in einem einzigen atomaren Datenbankvorgang gelesen und zugleich physisch aus der Tabelle entfernt. Der ausgelieferte Inhalt existiert danach nur noch flüchtig im Arbeitsspeicher für die Dauer der Auslieferung. Ein zweiter Abruf desselben Links ist damit ausgeschlossen. Aus dem laufenden System können wir das Chiffrat nicht wiederherstellen; in den Sicherungen kann es bis zu 7 Tage nach der Löschung verbleiben und ist dort ohne den Schlüssel, der uns nie vorlag, nicht lesbar. Sicherungen spielen wir nur zur Wiederherstellung des Gesamtsystems nach einem Ausfall ein, nie, um einzelne Vorgänge zurückzuholen.

Maximale Aufbewahrungsdauer nicht abgerufener Inhalte

Wird ein Inhalt nicht abgerufen, ist er mit Ablauf der vom Verantwortlichen gewählten Gültigkeitsdauer nicht mehr abrufbar und wird im nächsten nächtlichen Löschlauf endgültig gelöscht. Die wählbare Höchstdauer richtet sich nach dem genutzten Tarif:

Kostenfreie Nutzung und Nutzung ohne Benutzerkonto: maximal 7 Tage
Tarif Pro: maximal 30 Tage
Tarif Business: maximal 30 Tage

Innerhalb dieser Höchstgrenzen kann der Verantwortliche eine kürzere Gültigkeitsdauer wählen; die kürzeste wählbare Dauer beträgt eine Minute. Eine Verlängerung über die genannten Höchstgrenzen hinaus ist technisch nicht möglich.

Automatisierte Löschung abgelaufener Daten

Ein automatisierter Löschlauf entfernt abgelaufene Datensätze täglich in einem nächtlichen Zeitfenster. Die Löschung erfolgt als endgültiges Entfernen aus der Datenbank in Stapeln; ein Kennzeichnen als gelöscht oder ein Papierkorb existiert nicht. Erfasst werden abgelaufene Inhalte, abgelaufene Anforderungen, abgelaufene Statusmetadaten sowie technische Hilfsdaten zur Missbrauchsabwehr.

Statusmetadaten und Nachlauffrist

Nach der Löschung eines Inhalts verbleibt für eine Nachlauffrist von 24 Stunden ab Ablauf ein reiner Statusdatensatz, damit der Verbleib eines Vorgangs nachvollziehbar bleibt und ein bereits abgerufener Link nicht fälschlich als unbekannt erscheint. Dieser Datensatz enthält ausschließlich die Art des Vorgangs, das Zugriffstoken, den Zeitpunkt der Erstellung, den Ablaufzeitpunkt sowie gegebenenfalls die Zeitpunkte der Beantwortung und des Abrufs. Er enthält kein Chiffrat und kein Schlüsselmaterial. Nach Ablauf der Nachlauffrist wird auch dieser Datensatz gelöscht; die Zuordnung eines Vorgangs zu einem Benutzerkonto wird dabei automatisch mitgelöscht.

Kontodaten und Aktivitätsprotokoll

Einträge des Aktivitätsprotokolls werden automatisiert gelöscht, sobald sie älter als 90 Tage sind; ein täglicher Löschlauf entfernt sie endgültig aus der Datenbank. Kontodaten werden für die Dauer des Nutzungsverhältnisses gespeichert. Löscht der Verantwortliche sein Benutzerkonto, löschen wir sofort die Zuordnung der Vorgänge zum Konto, die Notizen, die Anforderungsvorlagen, die API-Schlüssel, die Vertragsabschlüsse, die Organisation mit ihren Mitgliedschaften, das Aktivitätsprotokoll, die Rollenzuordnung und die Kontoeinstellungen; das Konto selbst wird anonymisiert. Benutzerkonten, die mit einer Einladung für Mitglieder angelegt wurden, bleiben als eigene Konten dieser Personen bestehen, auch wenn sie nie aktiviert wurden. Noch nicht abgerufene Inhalte bleiben als für uns unlesbares Chiffrat bis zu ihrem Ablauf bestehen und werden dann im nächtlichen Löschlauf gelöscht. Der Kundendatensatz beim Zahlungsdienstleister und die Rechnungen bleiben für die Dauer der gesetzlichen Aufbewahrungspflichten erhalten; ihre Verarbeitung ist auf die Erfüllung dieser Pflichten beschränkt.

Sicherungen

Der Anwendungsserver mit der Datenbank wird täglich automatisch gesichert; die selbst betriebenen Systeme für den Mailversand und die Reichweitenmessung werden nicht gesichert. Vorgehalten werden die Sicherungen der letzten 7 Tage, ältere Sicherungen werden automatisch überschrieben. Ein gelöschter Datensatz ist damit spätestens 7 Tage nach seiner Löschung auch aus allen Sicherungen entfernt; eine gezielte Einzellöschung innerhalb bestehender Sicherungen erfolgt nicht. Die Transaktionsprotokolle der Datenbank werden im laufenden Betrieb fortlaufend überschrieben und nicht archiviert. Da Inhalte auch in Sicherungen ausschließlich als Chiffrat vorliegen und der zugehörige Schlüssel uns nie bekannt war, sind sie dort nicht lesbar.

Rückgabe und Löschung nach Vertragsende

Nach Beendigung des Vertrages geben wir nach Wahl des Verantwortlichen die im Auftrag verarbeiteten Daten, die uns lesbar vorliegen (Notizen, Aktivitätsprotokoll, Anforderungsvorlagen und Organisationsdaten), in einem gängigen maschinenlesbaren Format heraus oder löschen sie, spätestens 30 Tage nach Vertragsende und sofern nicht das Recht der Union oder eines Mitgliedstaats eine Aufbewahrung verlangt. Trifft der Verantwortliche keine Wahl, löschen wir die Daten. Löscht der Verantwortliche sein Benutzerkonto selbst, gilt dies als Wahl der Löschung; die Daten werden dann sofort gelöscht. Verschlüsselte Inhalte können wir nicht herausgeben, da sie entweder bereits abgerufen und damit gelöscht sind oder ausschließlich als für uns unlesbares Chiffrat vorliegen; noch nicht abgerufene Chiffrate bleiben bis zu ihrem Ablauf bestehen.

Auf Anforderung bestätigen wir dem Verantwortlichen die Löschung in Textform.

Nachweise und Kontrollrechte

Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglichen Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).

Der Nachweis erfolgt vorrangig durch Vorlage dieser Dokumentation, der Beschreibung der technisch-organisatorischen Maßnahmen, der Liste der Unterauftragsverarbeiter sowie der von unseren Dienstleistern bereitgestellten Nachweise.

Hält der Verantwortliche diese Nachweise im Einzelfall für nicht ausreichend, ermöglichen wir eine Überprüfung vor Ort nach rechtzeitiger Ankündigung, in der Regel höchstens einmal je Kalenderjahr, bei einem konkreten Anlass oder auf Verlangen einer Aufsichtsbehörde auch häufiger, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Der beauftragte Prüfer darf nicht in Wettbewerb zu uns stehen.

Über die vertraglichen Nachweise hinaus kann der für die Verschlüsselung maßgebliche Programmcode als quelloffener Code unabhängig eingesehen und überprüft werden. Wir betrachten dies als wesentlichen Bestandteil der Nachweisführung.

Wir weisen ausdrücklich darauf hin, dass wir derzeit keine Zertifizierung und keinen externen Auditbericht vorlegen können, die eine Überprüfung durch den Verantwortlichen ersetzen würden.

Verhältnis zu den Allgemeinen Geschäftsbedingungen

Dieser AVV regelt die Verarbeitung personenbezogener Daten im Auftrag abschließend. Für alle übrigen Fragen der Nutzung gelten die Allgemeinen Geschäftsbedingungen des Dienstes (nachfolgend „AGB") in der Fassung, die der Verantwortliche angenommen hat. Bei Widersprüchen geht dieser AVV vor, soweit er die Verarbeitung personenbezogener Daten im Auftrag betrifft; im Übrigen gehen die AGB vor. Für andere Schäden als solche aus der Verarbeitung personenbezogener Daten im Auftrag gilt die Haftungsregelung der AGB. Hat der Verantwortliche die AGB nicht angenommen, gelten die Regelungen dieses AVV zu Haftung, Laufzeit, Rechtswahl und Gerichtsstand auch für das Nutzungsverhältnis.

Haftung und Schlussbestimmungen

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Für Schäden aus der Verarbeitung personenbezogener Daten im Auftrag haften wir im Verhältnis der Parteien zueinander unbeschränkt bei Vorsatz und grober Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, bei Arglist, soweit wir eine Garantie übernommen haben, sowie nach zwingenden gesetzlichen Vorschriften. Bei einfacher Fahrlässigkeit haften wir nur für die Verletzung einer wesentlichen Vertragspflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages erst ermöglicht und auf deren Einhaltung der Verantwortliche regelmäßig vertrauen darf, begrenzt auf den vertragstypischen, vorhersehbaren Schaden und auf die Entgelte, die der Verantwortliche in den zwölf Monaten vor dem schädigenden Ereignis gezahlt hat, mindestens auf 500 Euro. Werden wir oder der Verantwortliche von einer betroffenen Person nach Art. 82 DSGVO in Anspruch genommen, trägt im Innenverhältnis jede Partei den Teil des Schadensersatzes, der ihrem Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO); die vorstehenden Beschränkungen gelten für diesen Ausgleich nicht. Bußgelder trägt die Partei, gegen die sie verhängt werden.

Der Verantwortliche ist für die Zulässigkeit der Verarbeitung, für die Rechtmäßigkeit der von ihm übermittelten Inhalte sowie für die sichere Weitergabe der Zugriffslinks und etwaiger Passwörter an die vorgesehenen Empfänger allein verantwortlich. Wird ein Zugriffslink durch den Verantwortlichen, seine Nutzerinnen und Nutzer oder die Empfänger gegenüber Unbefugten offengelegt, haben wir dies nicht zu vertreten.

Nutzungsverhältnis im Sinne dieses AVV ist die Nutzung des Dienstes über das Benutzerkonto des Verantwortlichen nach den Allgemeinen Geschäftsbedingungen in der vom Verantwortlichen angenommenen Fassung; hat er keine angenommen, endet es mit der Löschung des Benutzerkontos oder durch Kündigung einer Partei in Textform mit einer Frist von 30 Tagen. Dieser AVV gilt für die Dauer des Nutzungsverhältnisses und endet mit ihm. Die Regelungen zur Vertraulichkeit und zur Löschung gelten darüber hinaus fort.

Die Beschreibung der technisch-organisatorischen Maßnahmen dürfen wir fortschreiben, soweit das Schutzniveau dadurch nicht unterschritten wird; für Unterauftragsverarbeiter gilt das Verfahren des Abschnitts „Unterauftragsverarbeiter". Jede andere neue Fassung dieses AVV wird erst wirksam, wenn der Verantwortliche sie abschließt; bis dahin gilt die abgeschlossene Fassung.

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame Regelung ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

Dieser AVV unterliegt dem Recht der Republik Zypern unter Ausschluss des UN-Kaufrechts; zwingende Vorschriften der DSGVO bleiben unberührt. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem AVV ist Larnaca, Zypern, sofern der Verantwortliche Unternehmer, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Die Zuständigkeit der Datenschutz-Aufsichtsbehörden bleibt unberührt.

Dieser AVV liegt in deutscher, englischer und französischer Sprache vor. Bei Abweichungen zwischen den Sprachfassungen ist die deutsche Fassung maßgeblich.

Anlage: Unterauftragsverarbeiter und selbst betriebene Systeme

Stand der Liste: 26. September 2026

Die Liste führt alle Unterauftragsverarbeiter und selbst betriebenen Systeme, die wir für die unter diesem AVV erbrachten Dienste einsetzen. Einträge mit dem Zusatz „Nur für ..." betreffen ausschließlich die dort genannten Anwendungen. Die Genehmigung nach dem Abschnitt „Unterauftragsverarbeiter" erstreckt sich nur auf die Unterauftragsverarbeiter, die für den Dienst des Verantwortlichen tatsächlich tätig werden; für einen Dienst, der eine Anwendung nicht umfasst, setzen wir die dafür ausgewiesenen Unterauftragsverarbeiter nicht ein und übermitteln ihnen keine Daten des Verantwortlichen.

Eingesetzte Unterauftragsverarbeiter

Hetzner Online GmbH: Betrieb der Server und der Datenbank, Speicherung der verschlüsselten Inhalte und der zugehörigen Metadaten sowie Auflösung der Domain (DNS). Rechenzentrum Falkenstein, Deutschland (EU). Datenschutzhinweise AVV
Stripe Payments Europe, Ltd.: Abwicklung von Zahlungen und Abonnements für kostenpflichtige Tarife. Für die Zahlungsdaten ist Stripe eigener Verantwortlicher; wir führen Stripe hier der Vollständigkeit halber auf. Kein Zugriff auf Vorgangsdaten oder übermittelte Inhalte. Irland (EU). Eine Verarbeitung in den USA stützt sich auf das EU-US Data Privacy Framework, hilfsweise auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914). Datenschutzhinweise

Selbst betriebene Systeme (keine Unterauftragsverarbeitung)

Stalwart Mail Server: Versand transaktionaler E-Mail-Benachrichtigungen, etwa der Hinweis, dass eine Anforderung beantwortet wurde. Die Benachrichtigungen enthalten keine Inhalte. Von uns selbst betriebene Instanz auf gemieteter Infrastruktur in Deutschland (EU); kein externer E-Mail-Dienstleister. Datenschutzhinweise
Matomo Analytics: Cookielose Reichweitenmessung der öffentlichen Seiten und des angemeldeten Bereichs mit gekürzter IP-Adresse; Rohdaten werden nach 180 Tagen gelöscht. Wird ausschließlich auf der Produktivumgebung eingesetzt und verarbeitet keine Inhalte und keine Vorgangsdaten. Von uns selbst betriebene Instanz auf gemieteter Infrastruktur in Deutschland (EU); keine Weitergabe an Dritte. Datenschutzhinweise
GitLab: Erfassung technischer Fehlermeldungen zur Störungsbeseitigung. Erfasst werden Fehlertext, Aufrufpfad und technische Umgebungsdaten; entschlüsselte Nutzerinhalte werden nicht übermittelt. Von uns selbst betriebene Instanz auf gemieteter Infrastruktur in Deutschland (EU); kein externer Dienstleister. Datenschutzhinweise